सुरक्षा सप्ताह 52: स्मार्ट स्पीकर और आईपी कैमरा के लिए सुरक्षा

अक्टूबर में वापस, एसआरएबी के शोधकर्ताओं ने दिखाया कि आप स्मार्ट स्पीकर अमेजन इको और गूगल होम के व्यवहार को बातचीत या फ़िशिंग पासवर्ड ( समाचार , शोध ) पर बदल सकते हैं। उत्तरार्द्ध के लिए, यहां तक ​​कि एक विशेष शब्द है - विशिंग, उर्फ ​​वॉयस फ़िशिंग, फ़िशिंग, जिसमें पीड़ित अपनी आवाज़ के साथ अपने रहस्यों को साझा करता है।


हमले के लिए, स्तंभों की मानक कार्यक्षमता का उपयोग किया गया था, अर्थात् मिनी-एप्लिकेशन (कौशल या कार्यों के रूप में जाना जाता है) स्थापित करने की क्षमता। एक काल्पनिक ऐप जो एक मानवीय आवाज़ के साथ ज़ोर से एक ताज़ा कुंडली पढ़ता है, सुरक्षा ऑडिट के बाद संशोधित किया जा सकता है। विशेष पात्रों और तकनीकी संदेशों को ख़राब करने के लिए, आप यह दिखावा कर सकते हैं कि एप्लिकेशन ने काम करना बंद कर दिया है, हालाँकि वास्तव में, सभी वार्तालाप और आदेश रिकॉर्ड किए जाते हैं, डिक्रिप्ट किए जाते हैं और कुछ समय के लिए हमलावर के सर्वर पर भेज दिए जाते हैं।

दो महीने बाद, शोधकर्ताओं ने बताया कि समस्याएं ठीक नहीं हुई थीं। अध्ययन के दौरान, स्मार्ट स्पीकर के "ऐप स्टोर" पर "दुर्भावनापूर्ण" एप्लिकेशन अपलोड किए गए थे। परिणामों को अमेज़ॅन और Google पर स्थानांतरित कर दिया गया था, जिसके बाद अनुप्रयोगों को हटा दिया गया था, लेकिन एसआरएबी ने आसानी से उन्हें फिर से डाउनलोड किया और वे परीक्षण पास करने में सक्षम थे। स्थिति Google Play Store और Apple ऐप स्टोर में नियमित स्मार्टफ़ोन के लिए दुर्भावनापूर्ण एप्लिकेशन के साथ समस्या की याद दिलाती है: रणनीति समान हैं, बस सोशल इंजीनियरिंग के तरीके थोड़े अलग हैं। किसी भी मामले में, यह हमलों के विकास का एक दिलचस्प उदाहरण है, उन उपकरणों की उपस्थिति को ध्यान में रखता है जो लगातार मालिकों पर जासूसी करते हैं और जासूसी करते हैं।


उदाहरण के रूप में अमेज़न इको का उपयोग करते हुए हमला, इस प्रकार आगे बढ़ता है। एक वैध एप्लिकेशन बनाया जाता है जो निर्माता के ऑडिट से गुजरता है। उसके बाद, एप्लिकेशन की कार्यक्षमता बदल जाती है, लेकिन अमेज़ॅन इसे पुन: परीक्षण के लिए एक कारण नहीं मानता है। एक स्वागत संदेश प्रतिस्थापित किया जाता है: स्टार्टअप पर, एप्लिकेशन उपयोगकर्ता को बताता है कि एक त्रुटि हुई है, उदाहरण के लिए: "यह कौशल आपके देश में उपलब्ध नहीं है।" पीड़ित को यकीन है कि एप्लिकेशन ने काम पूरा कर लिया है, लेकिन वास्तव में ऐप कॉलम को विशेष वर्णों से वाक्यांश का उच्चारण करने के लिए मजबूर करने की कोशिश कर रहा है (अधिक विशेष रूप से, U + D801 वर्णों के एक क्रम से कई बार कॉपी किया गया)। कॉलम "उच्चारण" मौन है, जिसके बाद एक फ़िशिंग संदेश पहले से ही खेला जाता है: "एक सिस्टम अपडेट उपलब्ध है, कृपया अपना पासवर्ड बताएं।"

हमले के दूसरे संस्करण में भी विशेष वर्णों का उपयोग किया गया है, जो स्तंभ "उच्चारण" करने की कोशिश करता है, लेकिन फ़िशिंग के बजाय ईवेरसिंग है। Google होम के मामले में, परिदृश्य समान है, केवल ईवसड्रॉपिंग की अवधि पर कम प्रतिबंध हैं।

जाहिर है, दो समस्याएं हैं। सबसे पहले, कार्यक्षमता में एक बड़े बदलाव के लिए सत्यापन की आवश्यकता नहीं है, और सामान्य तौर पर, तृतीय-पक्ष "कौशल" का सत्यापन इतना सख्त नहीं है। दूसरे, स्तंभ अपठनीय वर्णों को पुन: उत्पन्न करने की कोशिश करता है, हालांकि एक आदर्श स्थिति में ऐसी कार्यक्षमता को अवरुद्ध किया जाना चाहिए।

स्मार्टफोन के लिए अनुप्रयोगों के पारिस्थितिकी तंत्र के साथ स्थिति को दोहराया जाता है: प्लेटफॉर्म के विकास की शुरुआत में, डेवलपर्स को कार्रवाई की पूरी स्वतंत्रता दी जाती है, एप्लिकेशन कार्यक्षमता का नियंत्रण कम से कम किया जाता है, और हमलावरों को डिवाइस उपयोगकर्ताओं पर हमलों में बहुत कम रुचि होती है। समय के साथ, हमलों की संख्या बढ़ जाती है, सुरक्षा तंत्र अधिक उन्नत हो जाते हैं, और डेवलपर्स के लिए आवश्यकताओं को कड़ा कर दिया जाता है।

एक संबंधित विषय पर हाल ही में मीडिया में व्यापक रूप से चर्चा की गई है: अमेज़ॅन रिंग आईपी कैमरा के अनधिकृत उपयोग के दो मामले थे, जो एक नियम के रूप में, केवल सुरक्षा उद्देश्यों के लिए खरीदे जाते हैं। हैक किए गए उपयोगकर्ता खाते (अविश्वसनीय या लीक पासवर्ड, दो-कारक प्रमाणीकरण की कमी) के कारण दोनों मामले सबसे अधिक संभावना थे। सोशल इंजीनियरिंग का कोई जटिल तरीका नहीं: डिवाइस में निर्मित स्पीकर के माध्यम से पीड़ित से बात करने की कोशिश करने से बेहतर कुछ नहीं हुआ। ऐसा लगता है कि अगर उपयोगकर्ताओं की गोपनीयता का ऐसा कोई आक्रमण होता है, तो सुरक्षा उपायों को तेज होना चाहिए। लेकिन एसआरएबी (और उस पर प्रतिक्रिया) का एक उदाहरण अध्ययन से पता चलता है कि यह पूरी तरह सच नहीं है।

और क्या हुआ:
उत्पादों में महत्वपूर्ण कमजोरियाँ Citrix Application Delivery नियंत्रक (जिसे पहले NetScaler ADC कहा जाता है) और Citrix Gateway (NetScaler Gateway)। अभी तक कोई विवरण नहीं, भेद्यता स्थानीय नेटवर्क के लिए प्राधिकरण के बिना दूरस्थ पहुंच की अनुमति देती है।

ब्राउज़र में "सूचनाओं के लिए सदस्यता" के साथ एक काफी सरल धोखाधड़ी का विस्तृत विश्लेषण । एक गैर-तुच्छ बिंदु है: दुर्भावनापूर्ण साइटों के प्रचार के लिए, Google छवि खोज का उपयोग करता है। कार्य योजना निम्नानुसार है: लोकप्रिय प्रश्नों के लिए चित्र एक साइट पर डाले जाते हैं, खोज परिणामों में आते हैं, वहाँ से उपयोगकर्ता को किसी अन्य डोमेन पर पुनर्निर्देशित किया जाता है, सूचनाओं के लिए सहमति देता है और इसके बारे में भूल जाता है। थोड़ी देर बाद, ब्राउज़र अधिसूचना में स्पैम डालना शुरू हो जाता है।

यूनिकोड में कुछ विशेष पात्रों को संसाधित करते समय टकराव के कारण एक दिलचस्प भेद्यता । गिथब पर, उसने पासवर्ड रीसेट करने के लिए एक लिंक के साथ एक संदेश को इंटरसेप्ट करने की अनुमति दी। हम उपयोगकर्ता को मेलिंग पते mike@example.org के साथ लेते हैं, मेलबॉक्स mıke@example.org (बिना किसी डॉट के i पर ध्यान दें) को पंजीकृत करते हैं। "पासवर्ड भूल गए" फ़ॉर्म में, एक विशेष वर्ण के साथ इस ई-मेल को दर्ज करें। सिस्टम उपयोगकर्ता माइक की पहचान करता है, लेकिन हमलावर के मेलबॉक्स को एक संदेश भेजता है। दोनों पतों की तुलना करके हल किया गया।

सार्वजनिक डोमेन में Microsoft कार्यालयों में कियोस्क के लिए एक वेब इंटरफ़ेस की यादृच्छिक खोज की कहानी। इस तरह के उपकरणों का उपयोग लॉबी में शेड्यूलिंग अपॉइंटमेंट्स, प्रिंटिंग बैज और अधिक के लिए किया जाता है, और एक सामान्य स्थिति में दूरस्थ रूप से सुलभ नहीं होना चाहिए। Microsoft साइट पर एक चालाक खोज ने वांछित URL का उत्पादन किया, जिसके माध्यम से कंपनी के सामान्य निदेशक के साथ बैठक का अनुरोध करने के लिए निकला। खैर, और आंतरिक डेटा तक पहुंच, जो एक निश्चित समस्या प्रस्तुत करता है।

बग नहीं, बल्कि एक सुविधा। सिटीमोबिल टैक्सी सेवा एपीआई प्राधिकरण (और कोई अनुरोध सीमा) के बिना काम करती है और आपको सभी कारों और एकल कार दोनों के स्थान पर डेटा डाउनलोड करने की अनुमति देती है। पहला सेवा के लिए एक व्यावसायिक जोखिम है, क्योंकि प्रतियोगी इंटेल के लिए एपीआई का उपयोग कर सकते हैं। दूसरा - सिद्धांत में, आपको टैक्सी चालक और यात्री दोनों की पहचान करने की अनुमति देता है, यदि प्रस्थान के निर्देशांक ज्ञात हों।

व्हाट्सएप मैसेंजर में एक और बग : आप संशोधित मेटाडेटा के साथ एक संदेश भेजकर सभी चैट प्रतिभागियों को कार्यक्रम छोड़ सकते हैं। यह मैसेंजर को फिर से इंस्टॉल करके और "प्रभावित" चैट से बाहर निकलने के द्वारा हल किया गया है।